20 Jahre Zero Day Initiative Happy Birthday, Zero Day Initiative

Die Zero Day Initiative feiert ihr 20-jähriges Bestehen. Das internationale Netzwerk aus über 19.000 Forschenden meldet Sicherheitslücken vertraulich an Hersteller – mit dem Ziel, den Cyberangreifern zuvor zu kommen.

Was 2005 als Nischenprojekt begann, zählt heute zu den wichtigsten Netzwerke in der Cybersicherheit: Die Zero Day Initiative (ZDI) spürt Zero-Day-Sicherheitslücken auf. Dabei ist es ihr Ziel, schneller als die Angreifer zu sein und den Cyberraum sicherer zu machen. Mittlerweile feiert die ZDI ihren 20. Geburtstag – ein großartiges Jubiläum und eine tolle Gelegenheit für die Redaktion von Security-Insider auf die Erfolge der Initiative zurückzublicken.

Manipulierte .lnk-Dateien

ZDI entdeckt Zero-Day-Schwachstelle in Windows-Verknüpfungen

Warum die Arbeit der Zero Day Initiative relevant ist

Gestartet wurde die Zero Day Initiative 2005 vom damaligen Netzwerkausrüster 3Com in der Abteilung TippingPoint. Im Jahr 2016 wurde das Programm von Trend Micro übernommen. Heute arbeiten bei der ZDI 450 festangestellte Sicherheitsforschende in 14 Sicherheitszentren sowie mehr als 19.000 unabhängige Beitragende weltweit.

Zero-Day-Schwachstellen sind tückisch: Da sie noch nicht öffentlich bekannt sind, gibt es keine Patches, was Cyberangreifer gerne aunutzen, um unbemerkt Systeme zu kompromittieren. Für CISOs und IT-Teams ist die Meldung von Sicherheitslücken deswegen unerlässlich für ihre Arbeit. Ohne das Wissen um Schwachstellen, blieben Systeme fehlerhaft und anfällig. Somit liefert die Arbeit der ZDI wertvolle Reaktionszeit: Entdecken die Forscher Sicherheitslücken, noch bevor sie ausgenutzt werden, können sie frühzeitig Gegenmaßnahmen für den Fall eines Angriffs einleiten, während der Hersteller des betroffenen Produkts an einem Sicherheitsupdate arbeitet. Vor allem in Umgebungen mit kritischen Infrastrukturen kann ein solcher Zeitvorsprung einen enormen Unterschied machen.

Prävention gegen Zero-Day-Exploits

Best Practices zur Abwehr von Zero-Day-Bedrohungen

Engagement der Zero Day Initiative

Eigenen Angaben zufolge ist die ZDI das „weltweit größte und erfolgreichste herstellerunabhängige Programm zur Schwachstellenforschung“. Innerhalb dieses Bug-Bounty-Programms erhalten Personen, die neue, unbekannte Schwachstellen melden, eine Prämie. Außerdem veranstaltet die Zero Day Initiative regelmäßig ethische Hacking-Wettbewerbe, wie zum Beispiel die international bekannte „Pwn2Own“,die in diesem Jahr in Berlin stattfand. Bei dem White Hat Hacking Contest wurden 28 Zero-Day-Schwachstellen entdeckt und insgesamt ein Preisgeld von über einer Millionen US-Dollar ausgeschüttet.

Pwn2Own Berlin 2025

Sicherheitsforscher decken 28 Zero-Day-Schwachstellen auf

Einer Untersuchung des Marktforschungsunternehmens Omdia zufolge, trug die ZDI im Jahr 2024 zur Offenlegung von 73 Prozent der untersuchten Schwachstellen bei. Auch in den Vorjahren war Trend Micro mit seiner Initiative der Vorreiter der Schwachstellenforscher.

Weitere Highlights der ZDI-Geschichte sind:

• ZDI-Forscher entdeckten, dass ein Patch für eine LNK-Sicherheitslücke, die vom berüchtigten Stuxnet-Wurm ausgenutzt wurde, nicht korrekt funktionierte. Ihre Forschung ermöglichte es Microsoft, fünf Jahre nach dem ursprünglichen Patch eine neue Aktualisierung bereitzustellen.

• Forscher der ZDI erhielten 125.000 US-Dollar von Microsoft für die Entdeckung einer Umgehungslösung für Schutzmaßnahmen im Internet Explorer. Die Prämie wurde für wohltätige Zwecke gespendet und die neuartige Technik zum Patent angemeldet.

• Ein ZDI-Forscher fand zwei Zero Days in Apples QuickTime für Windows, woraufhin Apple den Support für das Produkt einstellte.

• Die Arbeit der Zero Day Initiative half wiederholt dabei, verdeckte staatliche Operationen zu stören – darunter die APT „Black Energy“, die in den vergangenen Jahren wiederholt die Ukraine ins Visier nahm.

• Ein ZDI-Forscher gewann 2023 einen Pwnie Award für „Most Under-Hyped Research“, als er eine völlig neue Exploit-Klasse entdeckte: Activation Context Cache Poisoning.

Berühmt und berüchtigt

Wie gefährlich sind Zero-Day-Schwachstellen?

Die Werte der Zero Day Initiative

Bei ihrer Arbeit ist der Zero Day Initiative der verantwortungsvolle Umgang mit den gefundenen Informationen wichtig. Deshalb hält sich die ZDI an feste Offenlegungsfristen, die sie auch an die Hersteller, in deren Produkten und Lösungen sie Schwachstellen entdecken, kommunizieren. Hersteller erhalten bis zu 120 Tage Zeit, einen Fix für das betroffene Produkt bereitzustellen. Bei akuter Ausnutzung der Sicherheitslücke verkürzt sich das Zeitfenster auf 30, 60 oder 90 Tage. Reagiert ein Anbieter nicht, veröffentlicht die ZDI trotzdem ein Security Advisory für die Kunden mit Schutzmaßnahmen.

Damit sich die Arbeit für die Sicherheitsforscher lohnt und ein Anreiz geschaffen wird, Sicherheitslücken zu melden, anstatt sie illegalerweise zu verkaufen, belohnt die ZDI eingereichte Funde. Neben finanziellen Prämien gibt es ein Punktesystem mit Statusstufen und Bonusprogrammen für besonders aktive Teilnehmende.

Security Testing

Kann Hacking ethisch sein?

Die Belohnung für eine Zero-Day-Schwachstelle hängt von verschiedenen Faktoren ab:

• Ist das betroffene Produkt weit verbreitet?

• Kann die Ausnutzung der Schwachstelle zu einer Server- oder Client-Kompromittierung führen? Wenn ja, auf welcher Berechtigungsebene?

• Wird die Schwachstelle in Standardkonfigurationen/-installationen offengelegt?

• Sind die betroffenen Produkte wertvoll, handelt es sich zum Beispiel um Datenbanken, E-Commerce-Server, DNS, Router oder Firewalls?

• Erfordert die Schwachstelle eine menschliche Interaktion in Form von Social Engineering?

„Unsere oberste Priorität ist es, unsere Kunden zu befähigen, einen proaktiven Ansatz in der Cybersicherheit zu verfolgen“, erklärt Kevin Simzer, COO bei Trend Micro. „Die Zero Day Initiative ist eines der besten Werkzeuge, die wir haben, um Cyberkriminellen immer einen Schritt voraus zu sein.“ Und dabei machen die Forscherinnen und Forscher der Zero Day Initiative einen sehr guten Job, während Transparenz und Nutzersicherheit an erster Stelle stehen. Vielen Dank, auch von der Redaktion von Security-Insider für diese wichtige Arbeit.

Mehr IT-Sicherheit durch „ethische Hacker“?

Zusammenarbeit zwischen Unternehmen und White-Hat-Hackern

(ID:50514587)